§ 12 Datenschutzrecht

A. Datenschutzorganisation/Datenschutzmanagement

I. Typischer Sachverhalt

Rz. 1

Der Geschäftsführer eines Dienstleistungsunternehmens wünscht eine Beratung zur Frage, welche Maßnahmen und Vorkehrungen sein Unternehmen treffen muss, um den gesetzlichen Anforderungen der DSGVO zu genügen, und um möglicherweise drohende Bußgelder für sein Unternehmen zu vermeiden. Er will "Datenschutz-Compliance" im Unternehmen sicherstellen.

II. Rechtliche Grundlagen

1. Überblick

Rz. 2

Die EU-Datenschutz-Grundverordnung (DSGVO) enthält die unmittelbar anwendbaren Bestimmungen zum Datenschutz und setzt Art. 8 EU-Grundrechtecharta um. Danach hat jedermann Anspruch auf Schutz seiner personenbezogenen Daten. Diese Daten dürfen nur für im Vorfeld festgelegte Zwecke und auf Grundlage einer Einwilligung des Betroffenen oder einer sonstigen gesetzlichen Rechtsgrundlage verarbeitet werden. Damit zeigt Art. 8 EU-Grundrechtecharta bereits die wesentlichen Anforderungen auf, die von der DSGVO weiter präzisiert werden. Zu den grundlegenden Anforderungen zählen: Jede Datenverarbeitung ist verboten, es sei denn, es liegt eine gesetzliche Rechtsgrundlage für diese Datenverarbeitung einschließlich der Einwilligung des Betroffenen vor. Personenbezogene Daten dürfen nur für die Zwecke verwendet werden, die dem Betroffenen auch im Rahmen der Erhebung benannt worden sind. Eine Zweckänderung ist nur in engen Grenzen zulässig.

2. Maßnahmen des Datenschutzmanagements

Rz. 3

Der Verantwortliche hat beim Datenschutzmanagement folgende Grundsätze zu beachten und entsprechend den Prozessen der Datenverarbeitung des Unternehmens die folgenden Maßnahmen zu ergreifen, wobei die Aufstellung nicht als abschließend zu betrachten ist:

a) Rechenschaftspflicht

Rz. 4

Die DSGVO führt mit Art. 5 Abs. 2, Art. 24 DSGVO die sog. Rechenschaftspflicht ein. Danach muss ein Unternehmen im erforderlichen Umfang interne technische und organisatorische Maßnahmen treffen, um gegenüber der Aufsichtsbehörde die Einhaltun...